← العودة إلى المدونة

إحاطة أمنية، 17 أبريل 2026: إجراء Cisco Webex، وبوتنت PowMix، وتخريب OT من ZionSiphon

تتابع الإحاطة الأمنية اليوم ثلاث إشارات واضحة: إصلاح Webex SSO من Cisco الذي ما زال يتطلب إجراء من العملاء، وبوتنت PowMix الذي كشفته Talos ويستهدف العاملين في التشيك بسلوك C2 متخفٍ، ومنطق التخريب الصناعي في ZionSiphon ضد ضوابط الكلور والضغط في قطاع المياه.

---

---

1. أصلحت Cisco Webex، لكن لا يزال على العملاء تنفيذ خطواتهم

قامت Cisco بإصلاح CVE-2026-20184 في Webex Services، وهو خلل في التحقق من الشهادات داخل تكامل SSO مع Control Hub قد يسمح لمهاجم غير موثّق بانتحال شخصية المستخدمين. لكن إصلاح الخدمة وحده لا يكفي، إذ يجب على المؤسسات التي تستخدم SSO رفع شهادة SAML جديدة لمزوّد الهوية الخاص بها لتجنّب الانقطاع وإغلاق الفجوة فعليًا.

• احصر جميع بيئات Webex التي تستخدم SSO وتأكد من نشر الشهادة الجديدة فعليًا.
• تعامل مع بيانات IdP الوصفية وتدوير الشهادات كعمل أمني، لا كتنظيف إداري فقط.
• افحص ما إذا كانت حسابات التعاون عالية الثقة تُظهر وصولًا أو أنماط رموز مميزة غير اعتيادية.

---

2. يوضح PowMix كيف أصبحت حملات التصيد أكثر قدرة على الاندماج في الحركة العادية

كشفت Cisco Talos عن PowMix، وهو بوتنت غير موثق سابقًا ونشط منذ ديسمبر 2025 على الأقل ويستهدف القوى العاملة في جمهورية التشيك. يستخدم البرمجية الخبيثة فواصل beacon عشوائية، ويخفي بيانات heartbeat المشفرة داخل مسارات URL تبدو كأنها حركة REST API، ويمكنه تحديث نطاق C2 ديناميكيًا. كما رصدت Talos تداخلات تكتيكية مع نشاط ZipLine السابق وبنية C2 تعتمد على Heroku.

• نبّه فرق الموارد البشرية والشؤون القانونية والتوظيف والمالية واللوجستيات إلى أن الطعوم المرتبطة بالامتثال جزء من الحملة.
• ابحث عن مهام مجدولة مشبوهة، ومحملات PowerShell، وأنماط اتصال خارجة مرتبطة بـ Heroku.
• لا تعتمد فقط على اكتشاف التوقيت الثابت للـ beaconing. لقد بُني PowMix لإفشال هذا الاختصار.

---

3. ZionSiphon طلقة تحذير لمشغلي المياه والتحلية

يقول الباحثون إن العينة الحالية من ZionSiphon معطلة بسبب خطأ تحقق، لكن النية واضحة وخطيرة. تتحقق البرمجية من نطاقات IP إسرائيلية وبرامج معالجة المياه ثم تحاول تعديل جرعة الكلور، وحالة الصمامات، وحالة المضخات، وضغط التناضح العكسي. كما تتضمن آلية انتشار عبر USB، وهو أمر مهم في البيئات الصناعية التي ما زالت تعتمد على الوسائط القابلة للإزالة.

• راجع ضوابط الوسائط القابلة للإزالة ومراقبة محطات العمل الهندسية في OT الآن، لا بعد ظهور نسخة عاملة.
• تحقق من أن تغييرات الكلور والضغط والمضخات تولد تنبيهات واضحة ومقاومة للعبث.
• اعتبر برمجيات ICS المبكرة مهمة عملياتيًا إذا كان منطق التخريب واضحًا.

---

ما الذي يجب على فرق الأمن فعله اليوم

1. أكمل تدوير شهادة Cisco Webex SSO وتحقق منه، ولا تكتفِ بحالة التصحيح من المورّد.
2. اجمع فرق البريد الإلكتروني والهوية والنقاط الطرفية حول طعوم PowMix وأنماط تنفيذ PowerShell.
3. بالنسبة لمشغلي OT، اختبروا ما إذا كانت تغييرات الكلور أو الضغط غير المصرح بها ستُكتشف بسرعة كافية.
4. قدّموا للإدارة تحديثًا مباشرًا يربط بين ثقة أدوات التعاون، والتصيد الموجّه للموظفين، والتخريب الصناعي في قصة مخاطر واحدة.

---

الخلاصة: أقوى درس اليوم بسيط: المهاجمون لا يهتمون إن كانت نقطة الضعف في الهوية أو في سير عمل المستخدم أو في التحكم الفيزيائي بالعمليات. إذا كانت تحمل ثقة، فهي هدف.